CN101540773A - 一种垃圾邮件检测方法及其装置 - Google Patents

Abstract

本发明实施例提供一种垃圾邮件检测方法及其装置。该方法包括：获取与预设的行为指标对应的用户发送邮件的行为指标统计信息，所述行为指标用来衡量发送邮件的特征；分别确定每个所述行为指标对应的所述指标统计信息是否超过所述行为指标对应的指标阈值，并将超过所述指标阈值的所述行为指标对应的权值进行统计；若统计结果超过预设的权值阈值，则确定所述用户发送邮件的行为不正常。通过本发明实施例，可以有效地识别邮件来源，从而有效地处理不明来源的邮件，维护网络正常使用，保证网络安全。

Description

一种垃圾邮件检测方法及其装置

技术领域

本发明涉及网络技术领域，特别涉及一种垃圾邮件检测方法及其装置。

背景技术

随着Internet技术的迅猛发展，电子邮件正成为一种快捷、经济的现代通信技术手段。但是电子邮件在为人们提供方便的同时，也为垃圾邮件、病毒、恶意程序或敏感内容信息的传播提供了重要的载体，对系统安全造成了严重的威胁。

目前使用基于来源的过滤方式来过滤垃圾邮件，即黑白名单技术，黑名单上列出认为会发垃圾邮件的邮件服务器IP地址，白名单则恰恰相反。

发明人在实现本发明的过程中发现现有技术中存在的缺陷在于：黑白名单技术只能过滤已经在黑名单上的用户邮件，而对于来自不明用户的邮件就无法通过黑白名单技术进行处理。另外，在实际操作此过程中不可能在黑白名单中包含所有的(即便是大量)的IP地址，而且垃圾邮件发送者很容易通过不同的IP地址来制造垃圾；而且如果用户白名单上面的某个用户电脑上感染了病毒，向外大量发送垃圾邮件，黑白名单技术也不能处理这种情况。

发明内容

本发明实施例的目的在于提供一种垃圾邮件检测方法及其装置，可动态地、实时地判断垃圾邮件来源，保证网络安全。

本发明实施例提供一种垃圾邮件检测方法，包括：获取与预设的行为指标对应的用户发送邮件的行为指标统计信息，所述行为指标用来衡量发送邮件的特征；分别确定每个所述行为指标对应的所述指标统计信息是否超过所述行为指标对应的指标阈值，并将超过所述指标阈值的所述行为指标对应的权值进行统计；若统计结果超过预设的权值阈值，则确定所述用户发送邮件的行为不正常。

本发明实施例还提供一种垃圾邮件检测装置，包括：

信息获取单元，用于获取与预设的行为指标对应的用户发送邮件的行为指标统计信息，所述行为指标用来衡量发送邮件的特征；

权值统计单元，用于分别确定每个所述行为指标对应的所述指标统计信息是否超过所述行为指标对应的指标阈值，并将超过所述指标阈值的所述行为指标对应的权值进行统计；

行为确定单元，用于在所述权值统计单元的统计结果超过预设的权值阈值时，确定所述用户发送邮件的行为不正常。

本发明实施例还提供一种垃圾邮件检测方法，包括：获取与预设的行为指标对应的用户发送邮件的行为指标统计信息，所述行为指标用来衡量发送邮件的特征；确定所述行为指标对应的所述指标统计信息是否超过所述行为指标对应的指标阈值；若指标统计信息超过指标阈值，则确定所述用户发送邮件的行为不正常。

本发明实施例还提供一种垃圾邮件检测装置，该装置包括：

信息获取单元，用于获取与预设的行为指标对应的用户发送邮件的行为指标统计信息，所述行为指标用来衡量发送邮件的特征；

行为确定单元，与所述信息获取单元连接，用于在确定所述行为指标对应的所述指标统计信息超过所述行为指标对应的阈值时，确定所述用户发送邮件的行为不正常。

本发明实施例通过对用户发送邮件的行为特征进行统计，并根据预设行为指标对该用户行为特征进行分析来判定发送垃圾邮件的用户，从而达到动态地、实时地判断垃圾邮件来源的目的，根据判断出的垃圾邮件来源有效地控制网络中的垃圾邮件，维护网络正常使用，保证网络安全。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，并不构成对本发明的限定。在附图中：

图1是本发明实施例一的垃圾邮件检测方法流程图；

图2是本发明实施例二的垃圾邮件检测方法流程图；

图3是本发明实施例三的垃圾邮件检测装置构成示意图；

图4是本发明实施例四的垃圾邮件检测装置构成示意图；

图5是本发明实施例五的垃圾邮件检测方法流程图；

图6是本发明实施例六的垃圾邮件检测装置构成示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，下面结合附图对本发明实施例作进一步详细说明。在此，本发明的示意性实施例及其说明用于解释本发明，但并不作为对本发明的限定。

实施例一

本发明实施例提供一种垃圾邮件检测发送垃圾邮件的用户的检测方法，如图1所示，该方法包括：获取与预设的行为指标对应的用户发送邮件的行为指标统计信息(见步骤101)；确定每个行为指标对应的指标统计信息是否超过行为指标对应的指标阈值，并将超过该指标阈值的行为指标对应的权值进行统计(见步骤102)；若统计结果超过预设的权值阈值，则确定该用户发送邮件的行为不正常(见步骤103)。

在本实施例中，该行为指标用来衡量发送邮件的网络流量特征，可根据实际情况设置一个或多个，并且每个行为指标对应一个指标阈值和权值。

在本实施例中，该行为指标可为邮件会话的数量(sessions-per-period)、目的服务器数量(dst-ip-address-per-period)、尝试的邮件数量(attempted-messages-per-period)、收件人地址总数(recipients-per-period)、发邮件时间长度、邮件发送速率、唯一的发件人地址总数(unique-senders-per-period)、尝试邮件数量与成功邮件数量的比值(attempted-messages-per-successful-message)中的一个或一个以上。上述行为指标仅仅为本发明的实施例而已，但不限于上述行为指标，还可根据实际情况采用其它指标。

在本实施例中，在进行检测时，可使用上述行为指标中的一个或一个以上进行检测。例如，若采用一个指标进行检测时，如采用“尝试的邮件数量”时，可采用如下方式：正常的用户发送邮件时，尝试的邮件数量也是在一定的合理范围内的。通过统计用户在5分钟内邮件发送尝试的邮件数量，以获取该“尝试的邮件数量”所对应的行为指标统计信息，即尝试的邮件数量；若该尝试的邮件数量超过预定指标阈值时，则对该行为指标对应的权值进行统计，若该权值大于预设的权值阈值，则可确定该用户的邮件发送行为不正常，为发送垃圾邮件的用户。

例如：根据实际经验可以预设“尝试邮件数量”的指标阈值a1＝10，指标权值b1＝5，预设用户的权值阈值为2。在网络系统中检测到某用户A在5分钟内尝试发送了50封邮件，超过“尝试邮件数量”的指标阈值10，将其权值进行统计，初始时，该用户A的指标权值S0＝0，将超过该指标阈值(a1)的行为指标对应的权值(b1)进行统计可获得该用户A的指标权值S1＝0+5＝5。该S1大于预设的该用户的权值阈值2，可以判定该用户发送邮件的行为不正常。

由上述可知，通过根据预设的行为指标对用户发送邮件的行为特征进行统计得到用户发送邮件的行为指标统计信息，并对该用户发送邮件的行为指标统计信息进行分析，通过该行为指标统计信息与行为指标对应的指标阈值来判定用户发送邮件是否正常，从而确定发送垃圾邮件的用户，从而达到动态地、实时地判断垃圾邮件来源的目的，并可有效地控制网络中的垃圾邮件，维护网络正常使用，保证网络安全。

实施例二

本发明实施例还提供一种垃圾邮件检测方法，所述行为指标用来衡量发送邮件的特征，以下参照附图并以该预设行为指标为邮件会话的数量、目的服务器数量、尝试的邮件数量、收件人地址总数、发邮件时间长度和邮件发送速率为例进行详细说明。

如图2所示，该方法包括：

步骤201，从监控网络的流量中提取每个用户的SMTP流量，即每个用户在网络中传输的邮件数据包。以下以检测其中一个用户的发邮件的行为为例进行说明。

步骤202，根据预设行为指标对用户发送邮件的行为特征进行统计，以获取相应的行为指标统计信息。

在本实施例中，可根据步骤201中提取的预检测的用户的SMTP流量针对邮件会话的数量、目的服务器数量、尝试的邮件数量、收件人地址总数、发邮件时间长度和邮件发送速率进行统计，以获得相应的指标统计信息。

在本实施例中，可将统计的该指标统计信息储存到对应的用户信息中，待检测时使用。

步骤203，分别确定每个行为指标对应的指标统计信息是否超过行为指标对应的指标阈值，并将超过该指标阈值的该行为指标对应的权值进行统计。

在本实施例中，可在预设时间内遍历所有用户，对所有用户发送邮件的行为进行检测。在本实施例中，该预设时间可为1小时，但不限于此，该时间可根据实际情况进行确定。

在本实施例中，可依次对每个行为指标进行处理。对超过该指标阈值的行为指标对应的权值进行统计可采用如下方式：可将超过该指标阈值的行为指标对应的权值相加，以获得统计结果。或者可分别将超过该指标阈值的行为指标对应的权值加到该用户的权值上，最后相加的结果为统计结果，其中，该用户的权值的初始值为零。

步骤204，确定该统计结果是否超过该用户对应的预设的权值阈值。

步骤205，在步骤204中，若确定结果为超过，则可确定该用户发送邮件的行为不正常，即该用户发送垃圾邮件。

步骤206，在步骤204中，若确定结果为未超过，则可确定该用户发送邮件的行为正常。

在本实施例中，在步骤203中，当对一个用户进行检测时，可依次对每个行为指标对应的指标统计信息进行处理，对每个行为指标进行处理时可按照任意顺序依次进行处理，在本实施例中按照如下顺序进行处理：

1)用户邮件会话的数量：

用户邮件会话是用户发送邮件行为的一个重要特征指标。普遍的正常用户，在一定时间里邮件会话数据是在一定的范围。

根据统计的用户在1小时内邮件的会话数量，确定该邮件会话的数量是否超过设定的指标阈值，若超过则将该行为指标的权值累加到该用户的指标权值上。若没有超过，就不累加该行为指标对应的权值到该用户的指标权值上。

例如，预设的指标阈值为a1＝500件，预设的权值为b1＝20，当统计该用户在1小时内邮件的会话数量为1000件时，超过预设的指标阈值a1＝500件，则将该指标的权值b1＝20累加到该用户的指标权值S0上，初始时，该用户的指标权值为零S0＝0，这样，可获得该用户的指标权值S1＝0+20＝20。

2)目的SMTP服务器数量：

正常的用户发送邮件时，连接的目的SMTP服务器数量也是在一定的合理范围内的。

根据统计的用户在1小时内邮件发送的目的SMTP服务器数量，确定该目的SMTP服务器数量是否超过设定的指标阈值，若超过则把该行为指标的权值累加到该用户的指标权值上。若没有超过，就不累加该行为指标的权值到该用户的指标权值上。

例如，预设的指标阈值为a2＝1000个，预设的权值为b2＝10，当统计该用户在1小时内目的服务器的数量为800个时，未超过预设的指标阈值a2＝1000个，则不需要将该指标的权值b2＝10累加到该用户的指标权值S上，这样，该用户的指标权值S2＝0+20。

3)尝试的邮件数量：

正常的用户发送邮件时，尝试的邮件数量也是在一定的合理范围内的。

根据统计的用户在1小时内邮件发送尝试的邮件数量，确定尝试的邮件数量是否超过设定的指标阈值，若超过则把该行为指标的权值累加到该用户的指标权值上。若没有超过，就不累加该指标的权值到该用户的指标权值上。

例如，预设的指标阈值为a3＝20个，预设的权值为b3＝10，当统计该用户在1小时内尝试的邮件数量为200个时，超过预设的指标阈值a3＝20个，则需要将该指标的权值b3＝10累加到该用户的指标权值S上，这样，该用户的指标权值S3＝0+20+10。

4)收件人地址总数：

正常邮件用户的目的邮件域一般不多，而垃圾邮件发送的目的收件人较多。

根据统计的用户在1小时内邮件发送的收件人地址总数，确定尝试的邮件数量是否超过设定的指标阈值，若超过则把该行为指标的权值累加到该用户的指标权值上。若没有超过，就不累加该行为指标对应的权值到该用户的指标权值上。

例如，预设的指标阈值为a4＝10个，预设的权值为b4＝10，当统计该用户在1小时内收件人地址总数为200个时，超过预设的指标阈值a4＝10个，则需要将该指标的权值b4＝10累加到该用户的指标权值S上，这样，该用户的指标权值S4＝0+20+10+10。

5)发邮件时间长度：

正常用户发送邮件少，且大部分时间不发送邮件，垃圾邮件和邮件服务器大部分时间发送邮件数目多。

根据统计用户在1小时内用户发送邮件的时间长度，确定发送邮件的时间长度是否超过设定的指标阈值，若超过则把该行为指标的权值累加到该用户的指标权值上。若没有超过，就不累加该行为指标到该用户的绝对指标权值上。

例如，预设的指标阈值为a5＝10分钟，预设的权值为b5＝20，当统计该用户在1小时内发邮件时间长度为30分钟，超过预设的指标阈值a5＝30分钟，则需要将该指标的权值b5＝20累加到该用户的指标权值S上，这样，该用户的指标权值S5＝0+20+10+10+20。

6)邮件发送速率：

垃圾邮件发送速率普遍比较高，一般认为每15分钟会发送5封以上，此条件作为垃圾邮件判断的先决条件。

根据统计用户在1小时内用户邮件发送速率，确定邮件发送速率是否超过设定的指标阈值，若超过则把该行为指标的权值累加到该用户的指标权值上。若没有超过，就不累加该行为指标的权值到该用户的指标权值上。

例如，预设的指标阈值为a5＝20封/小时，预设的权值为b6＝30，当统计该用户在1小时内邮件发送速率为30封/小时，超过预设的指标阈值a6＝20封/小时，则需要将该指标的权值b6＝30累加到该用户的指标权值S上，这样，该用户的指标权值S6＝0+20+10+10+20+30。

由上述实施例可知，在对每个行为指标依次进行处理后，对超过指标阈值的行为指标对应的权值进行统计，在此处可以是对该用户的指标权值进行统计，确定该统计结果是否超过预设阈值，若超过，则可确定该用户发送垃圾邮件。此外，也可以对超过指标阈值的行为指标对应的权值进行累加，以获得统计结果。

例如，若该用户的权值阈值为80，则该用户的累计的指标权值S＝90，则说明该用户为发送垃圾邮件的用户。

在上述实施例中，是对多个行为指标进行分析统计来确定该用户是否发送垃圾邮件。此外，还可采用一个行为指标进行分析统计，例如，该行为指标可以为上述指标中的任意一个，也可以是一个比例指标，如尝试邮件数量/成功邮件数量：正常用户发送邮件的尝试邮件数量/成功邮件数量是在一个合理的范围内，而发送垃圾邮件用户的尝试邮件数量/成功邮件数量比值通常会很高，因此可以作为判断垃圾邮件发送用户的一个行为指标。

当采用上述比例指标时，在步骤203中，可在一定周期内，对所有用户发送邮件的行为进行检测。在本实施例中，该预设时间可为5分钟，但不限于此，该时间可根据实际情况进行确定。

这样，在步骤203中，根据统计的用户在5分钟内尝试邮件数量/成功邮件数量比值确定其值是否超过设定的指标阈值，若超过则将该指标的权值累加到该用户的指标权值上。若没有超过，就不累加该行为指标的权值到该用户的指标权值上。最后，确定该用户的指标权值是否大于预设的权值阈值，若大于则可判断该用户为发送垃圾邮件的用户。

由上述可知，通过根据预设的行为指标对用户发送邮件的行为特征进行统计得到用户发送邮件的行为指标统计信息，并对该用户发送邮件的行为指标统计信息进行分析，通过该行为指标统计信息与行为指标对应的指标阈值来判定用户发送邮件是否正常，从而确定发送垃圾邮件的用户，从而达到动态地、实时地判断垃圾邮件来源的目的，并可有效地控制网络中的垃圾邮件，维护网络正常使用，保证网络安全。

实施例三

本发明实施例提供一种垃圾邮件检测装置，如图3所示，该装置包括信息获取单元301、权值统计单元302和行为确定单元303。

其中，该信息获取单元301用于获取与预设的行为指标对应的用户发送邮件的行为指标统计信息，所述行为指标用来衡量发送邮件的特征；

该权值统计单元302用于分别确定每个行为指标对应的指标统计信息是否超过该行为指标对应的指标阈值，并将超过该指标阈值的该行为指标对应的权值进行统计；

该行为确定单元303用于在该权值统计单元302的统计结果超过预设的权值阈值时，确定该用户发送邮件的行为不正常。

在本实施例中，该行为指标可根据实际情况设置一个或多个，并且每个行为指标对应一个指标阈值和权值。

在本实施例中，该行为指标为邮件会话的数量、目的服务器数量、尝试的邮件数量、收件人地址总数、发邮件时间长度、邮件发送速率中的一个或一个以上；或者也可为尝试邮件数量与成功邮件数量的比值。上述行为指标仅仅为本发明的实施例而已，但不限于上述行为指标，还可根据实际情况采用其它指标。

在本实施例中，该装置可单独使用，也可与网络设备结合使用，该装置的工作方法如实施例一类似。当单独使用时，可将该设备通过旁路设备部署在城域网的接入层或城域网出口，对每个用户的SMTP流量进行统计，以获得各个行为指标对应的行为指标统计信息，并根据该信息进行分析处理，以确定该用户的行为是否正常。

由上述可知，该装置根据预设行为指标对用户发送邮件的行为特征进行统计得到用户发送邮件的行为指标统计信息，并对该用户发送邮件的行为指标统计信息进行分析，通过该行为指标统计信息与行为指标对应的指标与阈值来判定用户发送邮件是否正常，从而确定发送垃圾邮件的用户，从而达到动态地、实时地判断垃圾邮件来源的目的，并可有效地控制网络中的垃圾邮件，维护网络正常使用，保证网络安全。

实施例四

本发明实施例提供一种垃圾邮件检测装置，如图4所示，该装置包括信息获取单元301、权值统计单元302和行为确定单元303，其作用与实施例三类似，此处不再赘述。

此外，如图4所示，该信息获取单元301可包括信息提取单元401和信息统计单元402；其中，该信息提取单元401用于提取该用户在网络中传输的邮件；该信息统计单元402用于根据该预设行为指标对该用户发送邮件的行为特征进行统计，以获取相应的行为指标统计信息，所述行为指标用来衡量发送邮件的特征。

如图4所示，该装置还可包括结果确定单元403，用于确定该权值统计单元302的统计结果是否超过预设的权值阈值，若超过，则该行为确定单元303确定该用户发送邮件的行为不正常；若不超过，则该行为确定单元303还用于确定该用户发送邮件的行为正常。

如图4所示，该装置还可包括存储单元404，可储存上述行为指标统计信息以及每个行为指标对应的指标阈值和权值，以及权值阈值。

在本实施例中，该装置可单独使用，也可与网络设备结合使用，该装置的工作方法如实施例三类似。当单独使用时，可将该设备通过旁路设备部署在城域网的接入层或城域网出口，对每个用户的SMTP流量进行统计，以获得各个行为指标对应的行为指标统计信息，并根据该信息进行分析处理，以确定该用户的行为是否正常。

由上述可知，通过根据预设的行为指标对用户发送邮件的行为特征进行统计得到用户发送邮件的行为指标统计信息，并对该用户发送邮件的行为指标统计信息进行分析，通过该行为指标统计信息与行为指标对应的指标阈值来判定用户发送邮件是否正常，从而确定发送垃圾邮件的用户，从而达到动态地、实时地判断垃圾邮件来源的目的，并可有效地控制网络中的垃圾邮件，维护网络正常使用，保证网络安全。

实施例五

本发明实施例提供一种垃圾邮件检测方法，如图5所示，该方法包括：获取与预设的行为指标对应的用户发送邮件的行为指标统计信息(见步骤501)；确定每个行为指标对应的指标统计信息是否超过行为指标对应的指标阈值(见步骤502)；若指标统计信息超过该指标阈值，则确定该用户发送邮件的行为不正常(见步骤503)。

在本实施例中，所述行为指标用来衡量发送邮件的特征，该行为指标可为邮件会话的数量(sessions-per-period)、目的服务器数量(dst-ip-address-per-period)、尝试的邮件数量(attempted-messages-per-period)、收件人地址总数(recipients-per-period)、发邮件时间长度、邮件发送速率、唯一的发件人地址总数(unique-senders-per-period)、尝试邮件数量与成功邮件数量的比值(attempted-messages-per-successful-message)中的任意一个。上述行为指标仅仅为本发明的实施例而已，但不限于上述行为指标，还可根据实际情况采用其它指标。

在本实施例中，在进行检测时，可使用上述指标中的任意一个进行检测。例如：可以预定若在5分钟内某用户尝试发送邮件超过10封，则该用户发送邮件不正常，根据实际经验可以预设“尝试邮件数量”的指标阈值a1＝10。在网络系统中检测到某用户A在5分钟内尝试发送了50封邮件，超过“尝试邮件数量”的指标阈值10，可以判定该用户发送邮件的行为不正常。

由上述可知，通过根据预设的行为指标对用户发送邮件的行为特征进行统计得到用户发送邮件的行为指标统计信息，并对该用户发送邮件的行为指标统计信息进行分析，通过该行为指标统计信息与行为指标对应的指标阈值来判定用户发送邮件是否正常，从而确定发送垃圾邮件的用户，从而达到动态地、实时地判断垃圾邮件来源的目的，并可有效地控制网络中的垃圾邮件，维护网络正常使用，保证网络安全。

实施例六

本发明实施例还提供一种垃圾邮件检测装置，如图6所示，该装置包括信息获取单元601和行为确定单元602；其中，该信息获取单元601用于获取与预设的行为指标对应的用户发送邮件的行为指标统计信息，所述行为指标用来衡量发送邮件的特征；该行为确定单元602与该信息获取单元601连接，用于在确定该行为指标对应的该指标统计信息超过该行为指标对应的阈值时，确定该用户发送邮件的行为不正常。

在本实施例中，该行为指标可为邮件会话的数量(sessions-per-period)、目的服务器数量(dst-ip-address-per-period)、尝试的邮件数量(attempted-messages-per-period)、收件人地址总数(recipients-per-period)、发邮件时间长度、邮件发送速率、唯一的发件人地址总数(unique-senders-per-period)、尝试邮件数量与成功邮件数量的比值(attempted-messages-per-successful-message)中的任意一个。上述行为指标仅仅为本发明的实施例而已，但不限于上述行为指标，还可根据实际情况采用其它指标。

在本实施例中，在进行检测时，可使用上述指标中的任意一个进行检测。例如：可以预定若在5分钟内某用户尝试发送邮件超过10封，则该用户发送邮件不正常，根据实际经验可以预设“尝试邮件数量”的指标阈值a1＝10。在网络系统中检测到某用户A在5分钟内尝试发送了50封邮件，超过“尝试邮件数量”的指标阈值10，可以判定该用户发送邮件的行为不正常。

由上述可知，通过根据预设的行为指标对用户发送邮件的行为特征进行统计得到用户发送邮件的行为指标统计信息，并对该用户发送邮件的行为指标统计信息进行分析，通过该行为指标统计信息与行为指标对应的指标阈值来判定用户发送邮件是否正常，从而确定发送垃圾邮件的用户，从而达到动态地、实时地判断垃圾邮件来源的目的，并可有效地控制网络中的垃圾邮件，维护网络正常使用，保证网络安全。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-OnlyMemory，ROM)或随机存储记忆体(Random Access Memory，RAM)等。

以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (11)

1.一种垃圾邮件检测方法，其特征在于，所述方法包括：

获取与预设的行为指标对应的用户发送邮件的行为指标统计信息，所述行为指标用来衡量发送邮件的特征；

分别确定每个所述行为指标对应的所述指标统计信息是否超过所述行为指标对应的指标阈值，并将超过所述指标阈值的所述行为指标对应的权值进行统计；

若统计结果超过预设的权值阈值，则确定所述用户发送邮件的行为不正常。

2.根据权利要求1所述的方法，其特征在于，所述预设行为指标为邮件会话的数量、和/或目的服务器数量、和/或尝试的邮件数量、和/或收件人地址总数、和/或发邮件时间长度、和/或邮件发送速率、和/或唯一的发件人地址总数、和/或尝试邮件数量与成功邮件数量的比值。

3.根据权利要求1所述的方法，其特征在于，所述获取与预设行为指标对应的用户发送邮件的行为指标统计信息，包括：

提取所述用户在网络中传输的邮件；

根据所述预设行为指标对所述用户发送邮件的行为特征进行统计，以获取相应的行为指标统计信息。

4.一种垃圾邮件检测装置，其特征在于，所述装置包括：

信息获取单元，用于获取与预设的行为指标对应的用户发送邮件的行为指标统计信息，所述行为指标用来衡量发送邮件的特征；

权值统计单元，用于分别确定每个所述行为指标对应的所述指标统计信息是否超过所述行为指标对应的指标阈值，并将超过所述指标阈值的所述行为指标对应的权值进行统计；

行为确定单元，用于在所述权值统计单元的统计结果超过预设的权值阈值时，确定所述用户发送邮件的行为不正常。

5.根据权利要求4所述的装置，其特征在于，所述预设行为指标为邮件会话的数量、和/或目的服务器数量、和/或尝试的邮件数量、和/或收件人地址总数、和/或发邮件时间长度、和/或邮件发送速率、和/或唯一的发件人地址总数、和/或尝试邮件数量与成功邮件数量的比值。

6.根据权利要求4所述的装置，其特征在于，所述装置还包括结果确定单元，用于确定所述权值统计单元的统计结果是否超过预设的权值阈值，若超过，则所述行为确定单元确定所述用户发送邮件的行为不正常。

7.根据权利要求4所述的装置，其特征在于，所述信息获取单元包括：

信息提取单元，用于提取所述用户在网络中传输的邮件；

信息统计单元，用于根据所述预设行为指标对所述用户发送邮件的行为特征进行统计，以获取相应的行为指标统计信息。

8.一种垃圾邮件检测方法，其特征在于，所述方法包括：

获取与预设的行为指标对应的用户发送邮件的行为指标统计信息，所述行为指标用来衡量发送邮件的特征；

确定所述行为指标对应的所述指标统计信息是否超过所述行为指标对应的阈值；

若所述指标统计信息超过所述阈值，则确定所述用户发送邮件的行为不正常。

9.根据权利要求8所述的方法，其特征在于，所述预设行为指标为邮件会话的数量、目的服务器数量、尝试的邮件数量、收件人地址总数、发邮件时间长度、邮件发送速率、唯一的发件人地址总数、尝试邮件数量与成功邮件数量的比值中的任意一个。

10.一种垃圾邮件检测装置，其特征在于，所述装置包括：

信息获取单元，用于获取与预设的行为指标对应的用户发送邮件的行为指标统计信息，所述行为指标用来衡量发送邮件的特征；

行为确定单元，与所述信息获取单元连接，用于在确定所述行为指标对应的所述指标统计信息超过所述行为指标对应的阈值时，确定所述用户发送邮件的行为不正常。

11.根据权利要求10所述的装置，其特征在于，所述预设行为指标为邮件会话的数量、目的服务器数量、尝试的邮件数量、收件人地址总数、发邮件时间长度、邮件发送速率、唯一的发件人地址总数、尝试邮件数量与成功邮件数量的比值中的任意一个。

Images